Questa guida riguarda gli operatori di piattaforme di telemedicina, servizi di monitoraggio remoto del paziente e app sanitarie digitali classificati come entità importante. Scopri gli obblighi specifici di sicurezza dei dati, la conformità GDPR+NIS2 e le scadenze di implementazione secondo il D.Lgs. 138/2024.
Rientrano nella classificazione NIS2 gli operatori di piattaforme di telemedicina che gestiscono trasmissioni video e messaggistica sanitaria per oltre 50.000 utenti attivi mensili, i gestori di sistemi di monitoraggio remoto del paziente integrati con strutture ospedaliere, e gli sviluppatori di app sanitarie che processano dati personali sensibili di pazienti su territorio italiano. Sono incluse anche le organizzazioni che forniscono servizi di continuità assistenziale digitale critica per il Servizio Sanitario Nazionale.
È obbligatorio implementare cifratura end-to-end su tutte le piattaforme di teleconsultazione video e messaggistica sanitaria. La comunicazione tra paziente e professionista sanitario deve essere protetta con algoritmi di crittografia riconosciuti internazionalmente (almeno AES-256). Verificare che nessun dato sensibile rimanga in chiaro nei server intermedi, includendo metadati di comunicazione.
Ogni fornitore cloud, piattaforma di hosting, o terzo che accede ai dati sanitari deve essere vincolato da contratto di trattamento conforme all'articolo 28 GDPR integrato con i requisiti NIS2. È necessario mantenere un registro aggiornato di tutti i sub-processor e i servizi utilizzati (inclusi servizi di backup, analytics, e integrazioni EHR ospedaliere). La mancanza anche di un singolo accordo costituisce violazione formale.
Tutte le app sanitarie e le piattaforme di telemedicina devono sottoporsi a penetration testing indipendente almeno una volta all'anno, documentando i risultati e gli interventi correttivi. I test devono coprire specificamente i vettori di attacco comuni (injection, broken authentication, esposizione di dati sensibili). La documentazione deve essere conservata a disposizione dell'Autorità competente per la nazionale per la cibersicurezza (ACN).
Qualsiasi incidente che determini l'interruzione della piattaforma per più di 30 minuti, la perdita di dati pazienti, o l'accesso non autorizzato deve essere segnalato all'ACN entro 24 ore dal rilevamento. La notifica deve includere natura dell'incidente, numero di pazienti coinvolti, misure di contenimento attuate e impatto sulla continuità assistenziale. Il mancato rispetto della scadenza comporta sanzioni amministrative significative.
Le integrazioni API tra piattaforme telehealth e cartelle cliniche elettroniche ospedaliere devono implementare autenticazione multi-fattore lato server, firme digitali per i dati trasmessi, e logging dettagliato di tutti gli accessi. Ogni organizzazione integrata deve certificare che l'API gateway risponde ai requisiti OWASP API Top 10 e che i dati in transito rimangono sempre cifrati. La supply chain di questi integratori deve essere sottoposta a valutazione periodica del rischio.
La classificazione come entità importante non dipende da una soglia numerica rigida, ma dalle funzioni critiche per il sistema sanitario nazionale. In pratica, qualsiasi operatore che gestisca servizi di continuità assistenziale per strutture del SSN, o che processi dati di oltre 50.000 pazienti attivi, è presumibilmente classificato come importante. Consultare l'ACN per una valutazione specifica se la vostra piattaforma si trova in una fascia grigia (10.000-50.000 utenti).
La scadenza per l'implementazione completa dei controlli NIS2 è il 17 ottobre 2025, con periodo di compliance esteso al 17 aprile 2026 per alcune misure (da verificare con ACN). La cifratura end-to-end è considerata una misura prioritaria e deve essere in produzione entro la prima scadenza. Se non è già implementata, iniziate la pianificazione tecnica e l'allocazione dei budget immediatamente.
Le sanzioni amministrative per mancata conformità NIS2 possono raggiungere 10 milioni di euro o il 2% del fatturato annuale mondiale (a seconda di quale sia maggiore) per violazioni gravi. Nel settore sanitario, inoltre, la non conformità può determinare la sospensione della capacità operativa della piattaforma, con interruzione immediata dei servizi. L'ACN effettua verifiche ispettive a campione a partire dal 2025.